Notas de la versión 1.13.1 de Google Distributed Cloud con air gap

28 de junio del 2024

Google Distributed Cloud (GDC) con air gap 1.13.1 está disponible.
Consulta la descripción general del producto para obtener información sobre las funciones de Distributed Cloud.

Se ha actualizado la versión de la imagen del SO Ubuntu de Canonical a 20240515 para aplicar los parches de seguridad y las actualizaciones importantes más recientes. Para aprovechar las correcciones de errores y vulnerabilidades de seguridad, debes actualizar todos los nodos con cada lanzamiento. Se han corregido las siguientes vulnerabilidades de seguridad:

Se ha actualizado la versión de la imagen de Rocky OS a 20240506 para aplicar los parches de seguridad y las actualizaciones importantes más recientes. Se han corregido las siguientes vulnerabilidades de seguridad:

Se han corregido las siguientes vulnerabilidades de seguridad de imágenes de contenedor:

Se ha corregido una vulnerabilidad en las bases de datos que se ejecutan como contenedores en el clúster del sistema.

Facturación:

  • Se ha añadido la posibilidad de habilitar la facturación de partners al crear una organización para que Google pueda cobrar directamente al partner.

Gestión de clústeres:

Direcciones IP personalizadas:

  • Se ha añadido la posibilidad de anular la dirección IP asignada a las organizaciones para habilitar las funciones de interconexión de Direct Connect (DX).

Database Service:

  • Se ha añadido una actualización importante para mejorar la seguridad y la fiabilidad. Todas las cargas de trabajo de la base de datos se ejecutan ahora en el clúster de servicios. Esta actualización requiere la eliminación de las bases de datos. Para proteger tus datos, exporta y elimina todos los clústeres de bases de datos antes de realizar la actualización. Consulta la documentación del servicio de bases de datos para saber cómo exportar e importar datos.
  • Se ha añadido una función para que AlloyDB admita la alta disponibilidad (HA) en la misma zona.
  • Se ha añadido la posibilidad de que AlloyDB admita las funciones de copia de seguridad, restauración y recuperación a un momento dado.
  • Se ha añadido la posibilidad de que AlloyDB admita funciones de importación, exportación y migración avanzadas de datos.

Expansión dinámica:

  • Añade recursos de computación y almacenamiento adicionales con la expansión dinámica sin necesidad de completar una nueva implementación. Las versiones de GDC anteriores a la 1.13.1 solo permitían añadir hardware en una nueva implementación. Este tipo de expansión se conoce como expansión estática.

Harbor-as-a-Service:

  • Se ha añadido Harbor como servicio (HaaS), que es un servicio totalmente gestionado que almacena y gestiona imágenes de contenedor mediante Harbor.

Tipos de máquinas:

Marketplace

  • Se ha introducido la configuración personalizable de los servicios de mercado.
  • Starburst Enterprise (BYOL) está disponible en el mercado con air gap. Starburst Enterprise proporciona un motor de SQL MPP distribuido, rápido y escalable para tu data lakehouse con federación de consultas a muchas otras fuentes de datos.

  • Prisma Cloud Compute Edition de Palo Alto Networks (BYOL) está disponible en el mercado aislado. Prisma Cloud Compute Edition de Palo Alto Networks ofrece protecciones modernas para aplicaciones distribuidas.

Despliegues multizona:

  • Se ha añadido la función Multizona, que ofrece funciones de alta disponibilidad y recuperación tras desastres similares a las de la nube como servicio para simplificar la gestión de recursos en las zonas de GDC. Las funciones de despliegue multizona están en versión preliminar.

Infraestructura de clave pública:

  • Cuando emitas certificados web, podrás configurar diferentes modos de PKI después de crear la organización. Los modos configurables incluyen Infra PKI Fully Managed, BYO-SubCA, BYO-Cert with ACME y BYO-Cert.

Almacenamiento de objetos:

  • Se ha añadido un campo Spec.location para especificar la zona en la que se encuentran sus objetos. Durante la creación del contenedor, si no se proporciona ningún valor, el campo se rellena automáticamente con el nombre de la zona en la que se crea el contenedor. Los campos de los contenedores ya creados se rellenan automáticamente con el nombre de la zona en la que se encuentran.

Máquinas virtuales (VM):

Vertex AI:

VPN

Artifact Registry:

  • Al crear el clúster de administrador raíz, es posible que la operación falle si hay una lista larga de servidores al iniciar el proceso.

Copia de seguridad y restauración:

  • No se puede restaurar una copia de seguridad en un clúster de usuarios con restricciones de cuota.

Facturación:

  • Las métricas de facturación no se emiten correctamente a Cortex debido a que falta MetricsProxySidecar.

Almacenamiento en bloques:

  • Los pods de inicio de máquinas virtuales no pueden asignar volúmenes.
  • Si se producen fallos relacionados con el almacenamiento, es posible que el sistema no se pueda usar.
  • Los volúmenes persistentes se crean con un tamaño incorrecto.
  • Cuando una organización se desactiva, puede haber un problema al eliminar un StorageVirtualMachine.
  • Los secretos y los certificados no se eliminan después de desactivar una organización.
  • Se puede producir un error de conciliación de eliminación en el StorageVirtualMachine.
  • Los trabajos de Ansible se bloquean durante la actualización de hardware.

Gestión de clústeres:

  • El trabajo machine-init falla durante el aprovisionamiento del clúster.
  • Falla la conexión de un pod de base de datos que se ejecuta en el clúster de servicio a un segmento de almacenamiento de objetos del clúster de administrador de la organización.
  • La comprobación preparatoria falla.
  • Los clústeres de usuarios, cuando se vuelven a crear, pueden quedarse en el estado de conciliación.

Database Service:

  • En el caso de las bases de datos orientadas a los usuarios, el aprovisionamiento inicial, el cambio de tamaño o la habilitación de la alta disponibilidad en un clúster de base de datos ya creado tarda hasta 40 minutos más que antes, y el rendimiento es entre dos y tres veces más lento que antes.
  • La clonación del servicio de base de datos no funciona en un clúster con una cuota de almacenamiento limitada debido a un problema con la copia de seguridad y la restauración.
  • La aplicación de las IOPS puede afectar al rendimiento del almacenamiento.

DNS:

  • Las DNSSEC deben desactivarse explícitamente en resolved.conf.

Puerto:

  • Si eliminas instancias de Harbor, no se eliminarán los espejos de registro asociados. Es posible que el nodepool esté bloqueado en el estado Provisioning.

Módulo de seguridad de hardware:

  • Las licencias de prueba desactivadas se pueden detectar en CipherTrust Manager, lo que provoca advertencias de vencimiento falsas.
  • Una fuga de descriptores de archivo provoca un error ServicesNotStarted.

Infraestructura como código (IaC):

  • Si se crean demasiados tokens de GitLab, se corre el riesgo de llenar las bases de datos de GitLab.

Key Management Service (KMS):

  • Cuando el uso de memoria kms-rootkey-controller supera el límite de 600Mi, el controlador entra en un estado CrashLoopBackOff debido a un estado OOMKilled.

Registro:

  • El registrador de auditoría de almacenamiento de objetos no puede resolver el host DNS.

Monitorización:

  • Los paneles de control no muestran métricas de Vertex AI.
  • El pod mon-cortex tiene un error de conciliación.
  • El pod metrics-server-exporter del clúster del sistema está en un bucle de fallos.
  • El ConfigMap mon-prober-backend-prometheus-config se restablece para que no incluya ningún trabajo de comprobación y se activa la alerta MON-A0001.
  • Después de configurar el servicio de monitorización para que envíe alertas, se crean automáticamente varias alertas duplicadas.
  • El objeto ObservabilityPipeline muestra los registros Reconciler error que debes ignorar.

Bootstrap multizona:

  • No hay roles específicos para iniciar implementaciones multizona.
  • El recurso Bootstrap que se crea no es compatible con la lógica que lo procesa.
  • No se crea un recurso obligatorio durante el arranque, lo que provoca que los componentes que dependen de este recurso no funcionen correctamente.

Redes:

  • No se puede acceder al nodo.
  • Hay problemas de conectividad con las instancias del servicio de base de datos.
  • No se asigna ningún PodCIDR a los nodos aunque se cree un ClusterCIDRConfig.
  • Un nodo de VM tiene una hora incorrecta o no está sincronizado.
  • Las direcciones IP de peering de la sesión de interconexión EVPN multizona que se están generando son incorrectas.
  • No se puede acceder al nodo en la red de datos.

Almacenamiento de objetos:

  • Es posible que no se pueda eliminar una organización.

Sistema operativo:

  • En raras ocasiones, los pods se quedan en el estado init en un nodo concreto.
  • El trabajo de bm-system-machine-preflight-check Ansible de un nodo de metal desnudo o de una máquina virtual falla con Either ip_tables or nf_tables kernel module must be loaded.

Infraestructura de la suite de operaciones (OI):

  • En Hardware 3.0, ya no es necesario iniciar la administración de almacenamiento inteligente (SSA).

Seguridad perimetral:

  • El clúster del sistema de la organización se bloquea durante el arranque de la organización.
  • El cortafuegos de PANW AddressGroups no se actualiza con los cambios de OCITcidr-claim, lo que provoca que los dominios iac.gdch.domain.example no se puedan resolver.

Seguridad de la plataforma:

  • Cuando el modo de SubCA de PKI BYO genera una nueva solicitud de firma de certificado (CSR) mientras se sube un certificado firmado anteriormente a la SubCA, el reconciliador no comprueba si la nueva CSR coincide con el certificado firmado antiguo y marca el recurso personalizado (CR) cert-manager CertificateRequest como Ready. Esto ocurre durante la renovación o la rotación manual del certificado de la subautoridad de certificación.
  • Un problema conocido en cert-manager provoca que no se puedan emitir certificados de infraestructura de clave pública (PKI) de tipo trae tu propia clave (BYOK) con el entorno de gestión de certificados automatizado (ACME).

Servidores físicos:

  • El servidor se ha quedado bloqueado en el estado provisioning.
  • El arranque del servidor falla debido a problemas de POST en el servidor HPE.
  • El servidor está bloqueado en el estado de aprovisionamiento.

Resource Manager:

  • El estado de un proyecto no se muestra en la consola de GDC.

Cambio:

  • La tarea bm-system y otras tareas que ejecutan el playbook de Ansible se han quedado bloqueadas en gathering facts.
  • No se puede acceder a la IP de gestión de un servidor durante la actualización.
  • La actualización falla en el subcomponente iac-zoneselection-global.

Vertex AI:

  • El MonitoringTarget muestra el estado Not Ready cuando se están creando clústeres de usuarios, lo que provoca que las APIs preentrenadas muestren continuamente el estado Enabling en la interfaz de usuario.
  • El pod y el servicio frontend de Translation no se inicializan porque el secreto del clúster del sistema ODS está obsoleto.

Máquinas virtuales:

  • La importación de imágenes BYO falla en el caso de las imágenes qcow2 y sin formato.
  • No se puede aprovisionar un disco a partir de una imagen personalizada.
  • La actualización del almacenamiento de objetos muestra un error durante la comprobación posterior o previa al vuelo.

Facturación:

  • Se ha corregido un problema que provocaba que la tarea del generador de facturas no pudiera crear un recurso personalizado de factura debido al nombre no válido GDCH_INTERNAL.

Redes:

  • Se ha corregido un problema que provocaba que no se pudiera realizar la actualización debido a que no se había podido generar el recurso personalizado hairpinlink.
  • Se muestran errores de pista falsa `Got error on getting port speed` en la red installation.

Gestor de complementos:

Actualización de la versión:

  • La versión de la imagen basada en Debian se ha actualizado a bookworm-v1.0.1-gke.1.

Infraestructura de la suite de operaciones (OI):

  • La cuenta de OI Marvin, que se usa para la gestión de la configuración en el entorno de la infraestructura de OI, tiene un periodo de validez de 60 días.